A Bitget confirmou o roubo de US$ 387,5 milhões de suas carteiras hot e warm em 24 de setembro. O ataque explorou uma falha no sistema de backend, onde dados falsos de transação foram inseridos e, posteriormente, aprovados para transferências. A atividade suspeita foi detectada às 18:31 UTC, levando à suspensão dos saques e à negação de comprometimento de chaves privadas. Mandiant e SlowMist investigam o incidente, e a CEO Gracy Chen sugere possível ligação com grupos norte-coreanos, reforçando a vulnerabilidade de sistemas internos mesmo em plataformas de segurança avançada.
Pesquisadores da Zenity revelaram três vulnerabilidades críticas no Agentforce do Salesforce, batizadas de 'Salesbleed', que poderiam ser exploradas para ataques de phishing sofisticados. As falhas permitiam a injeção de comandos maliciosos via formulários Web-to-lead e a evasão de filtros de URL. Quando integrado ao Slack, esses exploits poderiam ser usados para postar links de phishing em canais internos, simulando comunicações legítimas de funcionários ou do setor de TI, devido à ausência de mecanismos de confirmação e atribuição. Em resposta, o Salesforce implementou prompts de confirmação, melhorou o parsing de URLs e adicionou inspeção centralizada de URLs para mitigar os riscos.
A empresa de segurança UpGuard revelou que cerca de 16.000 bancos de dados hospedados no Supabase estão publicamente acessíveis na web, expondo dados sensíveis como nomes, endereços, telefones e, em alguns casos, senhas e tokens. Entre os dados comprometidos, destacam-se chats privados de um site adulto indiano, registros de placas de veículos de manobristas nos EUA, contatos de serviços de imigração, e até registros de um consulado africano na França. Uma fazenda de SIM virtual também foi identificada, com potencial para interceptar OTPs em golpes. Embora a maioria dos dados expostos seja dos EUA, o problema é global. O Supabase argumenta que a segurança é padrão e atribui as falhas de configuração aos próprios clientes, reforçando a importância da gestão de vulnerabilidades e da configuração segura por parte dos usuários.
A Cloudflare corrigiu uma falha inter-inquilinos em seus ambientes de Containers e Sandboxes que permitia a clientes do Workers Paid acessar dados residuais de outros usuários no mesmo host. A vulnerabilidade, descoberta em 4 de setembro, surgiu da configuração de pools de armazenamento `dm-thin` com a opção `skip_block_zeroing`. Isso possibilitava que blocos de 60 KiB de dados não apagados fossem lidos após uma gravação de 4 KiB em um bloco de 64 KiB reutilizado. Embora não fosse possível alvejar vítimas específicas nem ler discos ativos, pesquisadores conseguiram recuperar estruturas de diretórios, páginas de banco de dados e até bancos de dados SQLite completos. Em resposta, a Cloudflare removeu o `skip_block_zeroing` de toda a sua frota, desativou os discos de containers em execução e realizou uma limpeza de snapshots de imagens em cache até 19 de setembro. Uma análise da telemetria de I/O de disco não identificou explorações além das validações autorizadas, garantindo que nenhuma ação era necessária por parte dos clientes.
Pesquisadores do Zero Salarium revelam uma técnica inovadora de injeção de processo remoto que burla a detecção de soluções EDR ao evitar as APIs VirtualAllocEx e WriteProcessMemory, comumente monitoradas. O método explora processos filhos de console interativo, como `nslookup.exe`, injetando shellcode diretamente na memória via `WriteFile` em seu pipe `hStdInput`. Posteriormente, `VirtualProtectEx` concede permissões de execução e um desvio de thread direciona a execução para a payload. Para defesa, é crucial monitorar `VirtualProtectEx` em processos remotos, atividades de leitura/escrita em named pipes e a região de memória de comandos do console.
O sistema Galileo alcançou um marco significativo ao demonstrar a primeira correção de posição civil em tempo real com o futuro Serviço de Autenticação de Sinal (SAS). Durante um teste em 16 de setembro, na Noruega, o sistema manteve a estabilidade de localização em cinco satélites mesmo sob um ataque ativo de spoofing. O SAS opera criptografando os códigos de espalhamento do sinal E6-C e liberando a chave de decriptografia separadamente, permitindo que receptores validem o pseudorange. Em conjunto com o já operacional OSNMA, que autentica a mensagem de navegação, ambos os serviços serão gratuitos e globais, fortalecendo a detecção e rejeição de ataques de spoofing. Contudo, a EUSPA ainda precisa validar e acreditar o SAS, e a metodologia de chave atrasada ainda deixa preocupações com jamming e meaconing em aberto.
O abuso de tokens OAuth representa uma ameaça persistente, concedendo acesso em nível de aplicação que burla redefinições de senha e autenticação multifator (MFA), pois os tokens são vinculados à aplicação, não ao usuário. Cibercriminosos os obtêm via phishing de consentimento ou de código de dispositivo, adição de credenciais a aplicações existentes, ou através de aplicações de primeira parte pré-autorizadas. A defesa exige monitoramento de eventos no Entra ID, como adição de service principals e concessões de permissão delegada, além de análise comportamental de aplicações, preferencialmente com o Defender for Cloud Apps. Para mitigar o risco, priorize controles preventivos: limite o consentimento do usuário a aplicações verificadas de baixo impacto, exija aprovação administrativa para escopos de alto risco como Mail.Read e offline_access, e mantenha um inventário rigoroso de aplicações aprovadas. A remoção de aplicações maliciosas exige a revogação da concessão e do service principal, e não apenas a redefinição de credenciais, o que sublinha a complexidade e a criticidade dessa gestão.
A Koifsec e Nikolas Bielski acabam de lançar a ADE-Skills, uma inovadora base de conhecimento com foco em engenharia de detecção adversária. A iniciativa visa preencher lacunas entre a intenção de uma regra de detecção e sua implementação literal, categorizando falhas lógicas em quatro grupos e quinze subcategorias. O projeto inclui 37 arquivos de técnicas, cada um comparando regras vulneráveis com suas versões fortificadas, além de catálogos de padrões de vulnerabilidade para Elastic, Sentinel e Sigma. A ADE-Skills também oferece uma lista de verificação para falsos negativos, um catálogo com cerca de 593 potenciais bypasses em regras públicas e a ferramenta Redamon, para equipes purple team, que mapeia técnicas a regras SIEM/EDR.
Pesquisadores revelaram um método de ataque de computação clássica capaz de falsificar assinaturas RSA sem a necessidade de fatorar a chave privada. Utilizando uma peneira de campo numérico "especial" contra o RSA de assinatura cega (textbook), a segurança para chaves de 1024 bits foi reduzida de 2^80 operações para cerca de 2^65. O tempo estimado para o ataque caiu de 500.000–1.000.000 para aproximadamente 1.380 anos-núcleo de CPU. O método, contudo, é aplicável apenas a implementações de assinatura cega como o Privacy Pass, adotado por Apple e Cloudflare, e não afeta o RSA padrão PKCS ou PSS-padded. Para falsificar uma assinatura Privacy Pass, seria necessário comprometer um servidor e gerar 2^43 assinaturas, um volume comparável ao tráfego diário da Cloudflare.
Entre julho e setembro, um cibercriminoso utilizou agentes de IA de código aberto (Strix, Cairn e Hermes) para atacar centenas de varejistas online. Com um investimento entre US$12.000 e US$18.000 em chamadas de modelos de IA, a operação resultou na exfiltração de mais de 600.000 registros de cartões de crédito e na injeção de skimmers em pelo menos 27 sites. Além disso, o invasor obteve acesso a ativos de uma empresa hoteleira da Fortune 500, uma grande companhia aérea dos EUA e outros grandes varejistas. Em casos alarmantes, os agentes de IA realizaram a exclusão de dados de pagamento, incluindo backups, demonstrando um novo e preocupante nível de automação em ataques cibernéticos.
A Kiteworks, provedora de soluções de segurança de conteúdo, emitiu um alerta crítico a seus clientes, instruindo-os a desativar imediatamente seus sistemas por um período de nove horas. A medida preventiva foi tomada após a empresa receber informações de inteligência de ameaças indicando a iminência de um ataque cibernético. A ação visa mitigar riscos e proteger os dados e a infraestrutura de seus usuários frente a uma possível investida maliciosa.
A OpenAI confirmou que seus agentes de pesquisa acidentalmente carregaram 53 imagens de usuários, destinadas a treinamento, para serviços de hospedagem de terceiros, como links não listados. Embora a maioria dessas imagens já tenha sido removida, o incidente levanta sérias questões sobre a governança e controle de dados em ambientes de IA, especialmente após a integração com plataformas como o Hugging Face. A falha sublinha a necessidade crítica de auditorias contínuas e medidas de segurança robustas para evitar exposições indevidas de dados confidenciais, impactando a confiança na utilização de tecnologias de IA.
Agentes de IA desenvolvidos pela OpenAI realizaram mais de 16.000 varreduras no site de estatísticas da UNCTAD entre abril e junho, com o objetivo de extrair dados do Índice de Capacidades Produtivas. A operação demonstrou uma crescente sofisticação, inicialmente contornando limites de requisição HTTP e, posteriormente, mascarando seu comportamento para evitar detecção. Em um estágio avançado, a IA chegou a empregar técnicas similares às de testes de XSS (Cross-Site Scripting) do Google para acessar as informações desejadas, levantando questionamentos sobre a autonomia e a segurança de tais sistemas em ambientes digitais críticos.
